Keamanan platform Purnama Labotama

1. Verifikasi dua langkah (2FA/MFA)

Kami mendukung verifikasi dua langkah berbasis aplikasi autentikator (TOTP) dan kode satu kali melalui surel. Pengaktifan 2FA bersifat sangat disarankan untuk setiap akun dan menjadi praktik standar yang ditawarkan pada saat aktivasi bersama manajer pribadi Anda. Dengan 2FA aktif, kata sandi saja tidak cukup untuk masuk ke akun: penyerang juga harus memegang perangkat atau kotak masuk Anda.

Jika perangkat autentikator hilang, pemulihan dilakukan melalui prosedur identitas terverifikasi: Anda menghubungi dukungan dari surel terdaftar, memverifikasi data diri sesuai dokumen KYC, lalu kode 2FA lama dinonaktifkan setelah masa tunggu pengaman. Masa tunggu ini sengaja diberlakukan agar tidak ada pihak lain yang bisa membajak akun melalui jalur pemulihan.

2. Enkripsi data

Data pribadi Anda dienkripsi saat disimpan (data at rest) maupun saat dikirim antar sistem (data in transit). Seluruh lalu lintas situs berjalan melalui TLS, dan data sensitif seperti dokumen identitas disimpan terpisah dari basis data operasional biasa dengan akses yang dibatasi per unit kerja. Sistem yang menangani enkripsi ini mencakup layanan akun, layanan dokumen verifikasi, dan antrian komunikasi.

Kunci enkripsi dikelola oleh tim infrastruktur dengan prosedur rotasi berkala. Pegawai hanya dapat mengakses data pribadi sebatas kebutuhan tugasnya, dan setiap akses tersebut terekam dalam log internal yang ditinjau secara rutin oleh tim kepatuhan.

3. Perlindungan dari penipuan dan phishing

Domain resmi kami hanya purnama-labotama.com dan subdomainnya. Surel resmi selalu dikirim dari alamat berakhiran @purnama-labotama.com. Kami tidak pernah meminta kata sandi, kode 2FA, atau dokumen identitas melalui tautan pada pesan obrolan. Waspada terhadap situs dengan nama mirip, subdomain tidak wajar, atau penawaran yang menekankan keuntangan pasti: itu bukan milik kami.

Untuk membantu Anda memverifikasi keaslian komunikasi, setiap pemberitahuan penting berisi kode pelindung berupa empat digit terakhir nomor akun Anda. Bila ragu, jangan klik tautan apa pun: buka situs kami secara manual atau hubungi [email protected] untuk konfirmasi. Halaman peringatan penipuan menjelaskan pola kloning merek yang pernah kami temui.

4. Pemberitahuan login

Setiap login dari perangkat baru memicu pemberitahuan surel yang menampilkan waktu, perkiraan lokasi jaringan, dan jenis perangkat. Aktivitas yang dianggap tidak wajar, misalnya percobaan masuk berulang yang gagal atau akses dari jaringan yang tidak dikenal, juga memicu pemberitahuan tersendiri.

Bila Anda menerima pemberitahuan login padahal tidak sedang masuk akun, segera ubah kata sandi dan aktifkan 2FA bila belum aktif, lalu laporkan kejadian tersebut kepada dukungan. Tim kami dapat mengamankan akun lebih lanjut dari sisi server, termasuk memaksa keluar seluruh sesi aktif.

5. Manajemen perangkat dan sesi

Dasbor menampilkan daftar sesi aktif: perangkat, alamat IP, waktu masuk, dan terakhir terlihat. Dari daftar itu Anda bisa mencabut akses perangkat tertentu atau mengakhiri seluruh sesi sekaligus dengan satu tombol. Sesi yang tidak aktif dalam jangka waktu lama berakhir otomatis, sehingga perangkat yang terlupakan tidak menyimpan akses permanen ke akun Anda.

Perubahan kata sandi juga otomatis mengakhiri sesi lain. Kami menyarankan kebiasaan sederhana: tinjau daftar sesi setiap kali Anda masuk dari komputer umum atau perangkat pinjaman, dan cabut sesi yang tidak Anda kenali.

6. Pemulihan akun

Pemulihan akses hanya dilakukan setelah verifikasi identitas sesuai data KYC yang tersimpan, misalnya konfirmasi data dokumen dan pertanyaan keamanan tambahan oleh petugas. Permintaan pemulihan disampaikan melalui surel terdaftar ke [email protected] dengan waktu respons umumnya kurang dari satu jam kerja pada jam kerja.

Sebagai pembatasan pengaman, permintaan ganti surel terdaftar atau penonaktifan 2FA melewati masa tunggu tambahan dan pemberitahuan ganda ke alamat lama maupun baru. Ini memperlambat proses yang sah beberapa jam, tetapi membuat pembajakan akun jauh lebih sulit.

7. Hak kunci API

Kunci API yang digunakan platform untuk membaca data dan menjalankan strategi diterbitkan dengan hak akses minimum. Prinsip kami: hak baca untuk data pasar dan posisi, serta hak eksekusi transaksi bila strategi Anda menghendakinya. Hak penarikan dana tidak pernah dimasukkan ke dalam kunci API manajemen strategi.

Bila Anda menghubungkan bursa sendiri, gunakan kunci khusus dengan izin terbatas sesuai panduan pada halaman memulai. Segera ganti kunci yang tidak lagi dipakai, dan perlakukan kunci API seperti kata sandi: jangan pernah dibagikan, termasuk kepada orang yang mengaku staf kami.

8. Riwayat audit

Setiap peristiwa penting akun terekam dalam jejak audit yang bisa Anda lihat sendiri: login dan percobaan login, koneksi bursa, perubahan strategi, perubahan pengaturan keamanan, hingga permintaan penarikan dana. Riwayat ini bersifat read-only dan tidak bisa dihapus oleh siapa pun, termasuk Anda, sehingga selalu bisa dijadikan acuan bila terjadi perselisihan.

Manfaatkan riwayat ini secara rutin: beberapa menit memeriksa daftar peristiwa setiap minggu cukup untuk menyadari aktivitas yang tidak Anda lakukan sebelum berkembang menjadi masalah besar.

9. Dukungan saat insiden

Bila Anda menduga akun diretas atau melihat aktivitas asing, langkah pertama adalah menghubungi [email protected] dengan subjek insiden keamanan. Akun dapat diblokir sementara atas permintaan Anda untuk menghentikan aktivitas yang berjalan, lalu proses verifikasi ulang dimulai.

Eskalasi insiden ditangani oleh Tim Dukungan Pelanggan & Kepatuhan dengan alur komunikasi yang jelas: konfirmasi penerimaan laporan, pembaruan status berkala, dan ringkasan tindakan setelah kasus ditutup. Untuk dugaan penipuan yang menggunakan nama kami, informasikan juga melalui halaman peringatan penipuan agar bisa kami tindak lanjuti ke publik.

Ringkasan praktik keamanan ini selaras dengan blok keamanan di beranda dan dengan kewajiban verifikasi pada halaman AML / KYC.